😱 Il caso VASTAAMO: TUTTE le CARTELLE CLINICHE pubblicate ONLINE

Nell'ottobre 2020 in Finlandia migliaia di persone aprono la posta elettronica e trovano tutte lo stesso messaggio scritto in un inglese un po' stentato. Il mittente dice a ciascuna vittima di avere tutti gli appunti delle sue sedute di psicoterapia e dice anche che le pubblicherà online con tanto di nome e cognome se entro 24 ore la vittima non gli avrà mandato una somma di denaro in Bitcoin. Le prime richieste sono di 200 euro, ma ben presto il prezzo sale a 500. Inizialmente si pensa a tentativo di phishing, ma è chiaro in realtà che il malintenzionato non sta mentendo. Ha davvero messo le mani su tutte le trascrizioni delle sedute dei pazienti. Alcune di quelle persone erano in terapia per un lutto, altre per abusi subiti anche in tenera età, altre ancora avevano alle spalle tentativi di suicidio o disturbi alimentari, e diverse di queste persone erano minorenni. Da queste mail prenderà il via una vicenda incredibile che porterà una clinica privata finlandese a essere al centro del più grande procedimento penale della storia paese per numero di vittime. Ma come sempre, per capire bene com'è andata, dobbiamo partire dall'inizio. Ciao a tutti e benvenuti in questo nuovo video in cui vedremo il caso Vastamo, una vicenda che ha fatto scuola per tanti motivi, non tutti propriamente positivi. Ma andiamo con ordine. La nostra storia inizia nel 2008 quando viene fondata Vastamo, una catena di centri di psicoterapia privata, che diventa ben presto uno dei principali fornitori di servizi di salute mentale in Finlandia, con contratti anche con il sistema sanitario nazionale. Il funzionamento era simile a quello che possiamo incontrare anche in Italia. Chi aveva bisogno di uno psicoterapeuta poteva mettersi in lista per usufruire di sedute gratuite passate dal servizio sanitario, dalla mutua per intenderci, oppure poteva rivolgersi a un privato pagando, ma senza dover aspettare che si liberasse un posto. Il centro Vastamo, tra l'altro, è era riuscito a stringere accordi con i vari comuni che rimborsavano ai cittadini parte delle sedute, cosa che l'aveva portato a crescere sempre di più, arrivando fino a 40.000 pazienti, molti dei quali minorenni. Insieme alla fama però cresce anche l'interesse dei malintenzionati, che si rendono conto che, a differenza di un centro sanitario classico, Bastamo ha in mano una serie di dati in più, ovvero quelli riferiti alle sedute dei pazienti. Mettendo le mani sui database di Bastamo, i malintenzionati Gli scatenati avrebbero avuto accesso anche ai segreti più intimi di circa 40.000 persone e quindi iniziano a provare a entrare. La prima intrusione informatica documentata risale al 25 novembre 2018, quando qualcuno accede senza autorizzazione al database di Vastamo, contenente le anagrafiche dei pazienti, i dati di pagamento e soprattutto tutti gli appunti degli psicoterapeuti che le avevano in cura. Si potrebbe pensare che un centro così grande con tutti quei dati delicati in mano avesse delle difese informatiche da far paura. E invece, 1, l'account amministratore, quindi quello che aveva accesso a tutto senza restrizioni e che poteva fare qualunque cosa, non aveva una password. Bastava conoscere lo username usato per accedere e si era già dentro al sistema con tutti i privilegi possibili e immaginabili. 2, il server che conteneva i dati di tutti i pazienti non era protetto da alcun firewall o sistema di alert per le intrusioni. Quindi poteva essere raggiunto dall'esterno senza nessun problema. 3) Il database, quello che conteneva tutti i dati dei pazienti compresi i dati di pagamento, non era cifrato, quindi chiunque fosse riuscito a vederlo o a copiarlo avrebbe potuto leggere tutto il contenuto senza alcun problema. Fare peggio di così era difficile. Ma ce l'avevamo fatta! Tra l'altro i ricercatori di sicurezza che si sono occupati del caso hanno stimato che la situazione fosse quella almeno da un anno, cioè da novembre 2017, quando erano state modificate a quanto pare alcune configurazioni che avevano reso possibile a qualunque hacker, anche non particolarmente esperto, di trovare il server sulla rete e di avere accesso quindi a tutti quei dati. Quello che i ricercatori non riescono a chiarire più che altro è quanta gente durante quell'anno fosse riuscita a entrare nel sistema senza farsi scoprire. Quindi primo grosso errore di Bastamo: un database sanitario esposto su una rete pubblica per più di un anno senza firewall, con l'amministratore privo di password. A marzo 2019 avviene una seconda intrusione, ancora più aggressiva della prima. Secondo la ricostruzione successiva— poi se volete trovate come sempre tutti i link di approfondimento in descrizione, quindi potete andare anche un po' a ricostruirvi il caso— in quell'occasione il database viene copiato dagli attaccanti, che poi inseriscono un messaggio di estorsione, probabilmente solo per capire se qualcuno stesse tenendo d'occhio il database. E voi direte: direte: e beh, certo che qualcuno stava tenendo d'occhio il database, c'era già stato un attacco l'anno prima, avranno preso delle contromisure, no? In realtà no, per un motivo molto semplice: sia l'intrusione del 2018 che quella del 2019 verranno scoperte a quanto pare solo l'anno successivo, quando inizia l'attacco vero e proprio. E qui secondo me sta il secondo errore di Vastamo. Visto che in seguito sono stati accertati e documentati almeno 2 accessi illegittimi, vuol dire che con un sistema di verifica degli accessi fatto bene e con qualche sistema di alert in caso di accessi non autorizzati, la società avrebbe potuto rendersi conto che qualcosa non andava. Oppure anche solo banalmente controllando ogni tanto il database, dove come dicevo era stato inserito un messaggio di estorsione dei malintenzionati, avrebbe quantomeno potuto accorgersi che probabilmente c'era stato un ingresso. E invece nessuno si accorge di niente, lasciando agli attaccanti campo libero. Mentre nel database succedono tutte queste cose, nel frattempo l'asset della società subisce alcuni cambiamenti. La famiglia Tapio, che fino a quel momento controllava Bastamo, vende il 70% della società a un fondo finlandese, l'Intera Partners, che compra tramite una holding chiamata PTK Midco per una cifra intorno ai 10 milioni di euro. Prima di chiudere un'operazione del genere, di norma chi compra fa quella che in gergo si chiama due diligence, cioè cioè manda dei tecnici a controllare che la società che sta acquistando sia in ordine sotto ogni punto di vista. I controlli a quanto pare vengono fatti in maniera piuttosto superficiale, si guarda più che altro alla situazione economica e finanziaria, che ancora era abbastanza in ordine. Dal punto di vista della sicurezza informatica invece non viene fatto alcun tipo di controllo e l'operazione va avanti come se nulla fosse, come se non ci fosse un intruso dentro i sistemi informatici della società. E invece questo intruso c'è e sta anche perdendo la pazienza. A ottobre del 2020 l'attaccante, che si firma RansomMan, decide di iniziare a guadagnare da tutta questa situazione e sceglie di ricattare l'azienda sanitaria chiedendo 40 bitcoin, che all'epoca valevano circa 450.000 euro, minacciando di pubblicare tutto se la società non avesse pagato. Bastamo non paga. Non sappiamo se questa scelta fosse motivata da ragioni economiche o, diciamo, di principio. Probabilmente sono se sono state le autorità stesse a consigliare di non procedere con il pagamento, perché è la linea che si segue in questi casi per non, diciamo, alimentare questo mercato criminale. Quello che sappiamo per certo è che di fronte al rifiuto l'attaccante comincia a pubblicare le prime centinaia di cartelle cliniche online, e a quel punto, non contento, passa alla fase 2, rivolgendo le proprie richieste economiche stavolta direttamente ai singoli patienti. Parte quindi la campagna di mail di cui ho parlato a inizio video, in cui chiedeva alle vittime il pagamento di una somma di denaro e minacciando altrimenti di pubblicare tutti i loro segreti più intimi online. Ovviamente scoppia uno scandalo di dimensioni enormi che costringe Vastamo a prendere provvedimenti. Il 21 ottobre 2020 la società pubblica un comunicato in cui ammette di aver subito una violazione dei dati che riguarda oltre 33.000 pazienti. La vicenda diventa in breve tempo un fenomeno mondiale e tutti si fanno la stessa domanda: chi è Ransom Man? Le indagini della polizia finlandese seguono l'unica traccia presente, quella del denaro. I pagamenti in Bitcoin fatti dalle vittime che hanno scelto di pagare vengono tracciati attraverso la blockchain. La blockchain, per chi non lo sapesse, è un registro pubblico che tiene traccia di tutti i pagamenti fatti con criptovalute ed è consultabile da chiunque. I portafogli di criptovalute spesso non sono associati una persona riconoscibile, a differenza dei conti bancari. Però non c'è un anonimato totale, ciascun portafoglio ha un identificativo. Quindi una volta appurato che quel wallet è collegato a una determinata persona, lo si tiene monitorato sperando che la persona faccia qualcosa che può identificarla. Ad esempio, se io ho il wallet XY e ricatto qualcuno chiedendo di pagarmi in quel portafoglio, poi converto i Bitcoin in euro e li faccio accreditare sul mio conto bancario, ecco che chi mi sta tracciando capisce chi sono, perché i soldi usciti dal wallet XY sono finiti nel conto di Veronica Paolucci. Quindi se non sono io la malintenzionata, sono comunque sicuramente coinvolta. Gli inquirenti iniziano quindi a tenere d'occhio quel conto e alla fine riescono a risalire alla vera identità di Ransom Man. Dico la verità, non si è capito bene bene come abbiano fatto. Pare che l'attaccante a un certo punto abbia commesso un errore e si sia connesso a internet o al proprio portafoglio senza nascondere proprio indirizzo IP, permettendo quindi alla polizia di capire da dove si collegava. Ma appunto non c'è nulla di certo, prendetelo con le pinze. Il nome che salta fuori comunque a ottobre 2022 è quello di Alex Santeri Kivimäki, allora 25enne, persona che, colpo di scena, era già nota alle autorità finlandesi. Kivimäki infatti da adolescente aveva fatto parte del gruppo Lizard Squad, un collettivo di hacker giovanissimi che a Natale 2014 era riuscito a mettere fuori uso per giorni Xbox Live e PlayStation Network, rovinando le vacanze natalizie a milioni di giocatori in tutto il mondo. Sempre in quel periodo, Kivimäki, che allora usava lo pseudonimo Zkill, era stato collegato a episodi di swatting, cioè false chiamate di emergenza fatte per fare intervenire la polizia armata a casa di qualcuno. Nel 2015 Kivimäki era stato poi condannato in Finlandia per oltre 50.000 capi di accusa legati a intrusioni informatiche. Essendo però minorenne all'epoca dei fatti, la pena era stata sospesa, per cui nella sostanza quella condanna non aveva avuto conseguenze pratiche sulla sua vita. A quanto pare il nostro amico ne aveva approfittato per affinare le sue tecniche ed era arrivato all'attacco contro Västamo bello pronto qualche anno dopo. Individuato il sospetto, nell'ottobre 2022 la polizia finlandese emette un mandato di cattura internazionale. Kivimäki infatti non si trova in Finlandia. Nei mesi successivi emergerà che vissuto una vita piuttosto agiata all'estero, in Costa Azzurra, con un periodo a Saint-Tropez, un domicilio a Londra, il tutto chiaramente sotto documenti falsi. Il 3 febbraio 2023 viene finalmente arrestato dalla polizia francese, ma non per il caso Vastamo. Gli agenti intervengono per una lite domestica nell'appartamento dove lui alloggia, e facendo un controllo di routine ai documenti delle persone coinvolte, si rendono conto che i suoi sono contraffatti. Approfondendo la questione, ci mettono poco da lì a ricollegare la sua identità a quella per cui era stato fatto un mandato di cattura internazionale, ovvero a quella di Ransom Man. Il 24 febbraio 2023, Kivi Mäki viene quindi estradato in Finlandia e messo in custodia cautelare, dove resterà per la gran parte dei 2 anni successivi. Il processo di primo grado si conclude nell'aprile 2024. L'accusa è letteralmente da record, stiamo parlando di oltre 9200 di imputazione per diffusione aggravata di dati personali, oltre 20.000 capi per tentata estorsione aggravata, 20 capi per estorsione aggravata effettivamente riuscita, oltre a un unico grande capo per accesso abusivo al sistema informatico di Vastamo. La procura chiede il massimo della pena, ovvero 7 anni di reclusione, sottolineando la scala del danno e il numero straordinario di vittime coinvolte, che vi ricordo erano oltre 30.000. Il tribunale condanna Kivimäki, ma una pena leggermente inferiore a quanto richiesto, ovvero a 6 anni e 3 mesi. Kivimäki decide di fare appello e la procura dal canto suo chiede che la pena venga aumentata fino al massimo previsto dalla legge, quindi appunto quei 7 anni che aveva chiesto all'inizio. Le udienze davanti alla Corte d'Appello di Helsinki iniziano nell'agosto 2025. Poco dopo l'inizio del processo di appello, Kivimäki viene scarcerato, non perché fosse stato assolto, ma perché si trovava in custodia cautelare. E secondo la legge finlandese, chi è alla prima condanna ha già scontato in custodia cautelare un periodo pari alla metà della pena può essere ammesso alla libertà condizionale. Kivimäki ci rientrava, quindi il suo avvocato chiede la scarcerazione in attesa della conclusione del processo e la sua richiesta viene accolta. Proprio in quei giorni, nel settembre 2025, mentre l'appello è ancora in corso, esce una docuserie in 4 episodi dedicata proprio a Kivimäki dal titolo Most Wanted Teen Hacker, con interviste anche allo stesso Kivimäki. Se non l'avete vista, ve la consiglio perché l'ho trovata ben fatta. Dovrebbe essere su Prime Video, se non erro. Racconta un po' tutta la sua storia e il quarto episodio è dedicato proprio a Bastamo. Nel frattempo l'appello prosegue e a febbraio 2026 arriva la sentenza che conferma tutti i capi di colpevolezza del primo grado e aumenta la pena a 6 anni e 11 mesi. Nella motivazione la corte descrive i fatti come un insieme pianificato e organizzato capace di colpire un numero eccezionalmente ampio di vittime, in condizione, fra l'altro, di vulnerabilità. Al momento della sentenza d'appello però, Kivimäki non è in aula. Secondo il suo avvocato, l'hacker si trova all'estero e nessuno sa con precisione dove. Nonostante la latitanza, Kivimäki deposita ad aprile 2026 un ricorso presso la Corte Suprema finlandese, che ovviamente deve essere ancora deciso. In tutto questo, la condanna della Corte d'Appello è già esecutiva, quindi Kivimäki dovrebbe stare in carcere a scontare la propria pena, a prescindere dal ricorso alla Corte quindi è in carcere? No, come dicevo, si è reso irreperibile. Nessuno sa dove si trovi. L'unica cosa sicura è che non si trova in carcere. E qui una domanda che potreste farvi è: ma chi vi macchi? Ha agito da solo? Secondo la procura no. Infatti sono state formalizzate accuse anche contro un secondo individuo, un cittadino statunitense di 28 anni residente in Estonia di nome Daniel Lee Newhart, sospettato di aver collaborato nelle estorsioni contro i pazienti, in particolare aiutando a tracciare e gestire pagamenti in Bitcoin collegati al ricatto. Il procedimento contro questo presunto complice è ancora in corso, quindi attendiamo aggiornamenti. E in tutto ciò, la società che fine ha fatto? Non pensiate che non abbia dovuto subire le conseguenze dei propri errori. Anzi, a febbraio 2021, quindi solo 4 mesi dopo l'attacco, Bastamo viene dichiarata fallita. Il crollo in realtà era cominciato prima del fallimento vero e proprio. Il 26 ottobre 2020, quindi solo 5 giorni dopo l'annuncio pubblico del fatto che erano stati hackerati, il consiglio di amministrazione licenzia l'amministratore delegato Bill Tapio e la gestione passa temporaneamente al presidente del consiglio. Se vi ricordate, vi avevo detto che intanto, prima che venisse fuori tutto questo scandalo, una quota pari al 70% della società era stata venduta alla PTK Midco, che inizialmente aveva fatto delle verifiche un po' superficiali, ma che dopo lo scandalo Decide di rimediare avviando un'indagine interna. Quello che scopre la fa letteralmente infuriare. Salta fuori infatti che a quanto pare la seconda intrusione fatta dall'attaccante, quella di marzo 2019, era stata notata internamente già quando era avvenuta e che ne era al corrente anche l'amministratore delegato Bill Tapio. Perché nessuno aveva detto niente? Perché quella scoperta era stata fatta nelle stesse settimane in cui era in corso la trattativa per la vendita della società. Secondo PTK Mid Tapio sapeva della falla e delle carenze nella sicurezza e non le ha comunicate a chi stava per comprare l'azienda né al consiglio di amministrazione. E qui c'è il terzo gravissimo errore di Bastamo, perché lasciando da parte le considerazioni sull'etica nei rapporti contrattuali e via dicendo, un'azienda non può scoprire una violazione dei dati dei propri pazienti e non fare niente. L'amministratore delegato sapeva dell'attacco E non ha avvisato le vittime, non ha fatto la segnalazione al garante, nulla. Tapio ha sempre respinto questa ricostruzione dicendo che loro non sapevano nulla, ma i nuovi proprietari passano comunque subito alle vie legali. Chiedono e ottengono dal tribunale il sequestro di circa 10 milioni di euro di beni riconducibili a Tapio e alla sua famiglia, più o meno la stessa cifra pagata per l'azienda, e domandano che l'intera acquisizione venga annullata con la restituzione del prezzo. La disputa finisce poi con un accordo nel quale Tapio si impegna a versare a PTK Midco una cifra intorno agli 8 milioni di euro. I soldi dentro a Vastamo cominciano a scarseggiare. Alla fine di gennaio 2021 la società viene messa in liquidazione e ci si rende conto ben presto che non c'è nulla da fare, dato che i debiti superano abbondantemente quello che l'azienda possiede. E tutto questo senza nemmeno contare i risarcimenti eventuali eventualmente poi riconosciuti alle vittime. Così, l'11 febbraio 2021 viene depositata l'istanza di fallimento. In aggiunta a tutto questo parte anche una serie di procedimenti contro la società. Il primo è quello dell'Autorità finlandese per la protezione dei dati, che a dicembre 2021 impone all'azienda una sanzione di 608.000 euro per violazione del GDPR, il regolamento europeo sulla privacy, principalmente per la mancata notifica tempestiva della violazione dei dati e per le gravi carenze nell'emisfero di sicurezza. Parallelamente, la procura apre un procedimento penale contro l'amministratore delegato di Vastamo, quindi sempre Ville Tapio, sempre con l'accusa di non aver adempiuto agli obblighi previsti dal GDPR. Nello specifico, quello che dice la procura è proprio che lui, pur essendo a conoscenza della violazione, non ha fatto la segnalazione al garante che doveva fare entro 72 ore dalla scoperta. Nella primavera del 2023, il tribunale di Helsinki lo condanna in primo grado grado a 3 mesi di reclusione, condanna contro cui l'uomo propone appello. A dicembre 2025 la Corte d'Appello di Helsinki, con una mossa all'Alessandro Borghese, ribalta completamente la sentenza di primo grado e lo assolve, stabilendo che all'epoca dei fatti non esisteva un obbligo legale sufficientemente chiaro che imponesse personalmente a un amministratore delegato in quanto tale di adottare le specifiche misure di sicurezza indicate dall'accusa. In sostanza quello che dice la corte è che Il GDPR individua degli obblighi in capo al titolare del trattamento, che di norma è l'azienda, e la responsabilità penale personale del singolo amministratore richiede qualcosa di più specifico, una condotta individuale riconducibile a lui, non semplicemente quindi per il ruolo che ricopriva nell'organigramma. La Corte d'Appello dice quindi che la procura non era riuscita a dimostrare quel qualcosa in più, anche perché lui ha sempre negato di aver scoperto prima di questa intrusione. Confusione. Il terzo grande filone di processi contro Bastamo, neanche a dirlo, è quello avviato dalle vittime, i pazienti che hanno visto le loro cartelle cliniche sbattute online. I danni fatti a queste persone sono stati incalcolabili, perché quando qualcuno inizia un percorso di psicoterapia, spesso, anzi quasi sempre direi, è perché ha bisogno di un posto in cui poter parlare di cose che magari non riesce a dire ad altre persone. Quindi provate a pensare a come devono essersi sentiti pazienti quando tutte queste cose, gli appunti dei terapeuti, le medicine prescritte e via dicendo, sono poi finite online. A quanto pare, da quello che è emerso in seguito, alcuni sono arrivati a togliersi la vita, a dimostrazione ulteriore, qualora ce ne fosse bisogno, di quanto la pratica del doxxing, quindi quella di raccogliere informazioni su qualcuno e poi pubblicarle online, sia veramente in grado di incidere profondamente sulla psiche delle vittime. Molte di queste vittime comunque decidono di reagire alla situazione e di provare a ottenere giustizia. Queste persone potevano muoversi su più fronti. Il primo era chiedere danni direttamente alla società fallita, mettendosi in fila fra i creditori del fallimento. All'inizio il curatore fallimentare aveva ipotizzato di riconoscere a ciascuna vittima un risarcimento fino a 2.500 euro, una cifra già bassissima se pensiamo a cosa era stato pubblicato online sul conto di quelle persone. Ma la cosa peggiore è che in realtà nessuno di loro otterrà da Vastamo quella cifra. A quanto pare le vittime colpite sono riuscite a ottenere qualcosa come 90 € a testa prima che i soldi della società finissero. Il secondo fronte su cui potevano muoversi era quello penale, cioè costituirsi contro chi aveva compiuto materialmente l'attacco. Per le vittime che si sono costituite parte lesa nel procedimento chiuso in primo grado nell'aprile 2024, si è aggiunta poi una terza possibilità, cioè quella di chiedere un indennizzo direttamente allo Stato finlandese tramite l'ente pubblico che si si occupa dei danni da reato, e ovviamente nei limiti previsti dalla legge nazionale, che non è che conceda dei risarcimenti milionari. Non si sa di preciso quanto abbia ottenuto ciascuna vittima passando da questi ultimi due fronti, anche perché parliamo comunque di più di 20.000 persone. Però pare che solo una persona sia riuscita ad avere più di 5.000 euro. Tutte le altre hanno preso molto, molto meno di così. Se proviamo a tirare le fila di questa storia, il bilancio non è propriamente positivo. L'attaccante ha avuto una condanna tutto sommato lieve, che in ogni caso non sta scontando, visto che è scappato chissà dove e in carcere non c'è andato. La società è fallita, ma l'amministratore delegato è stato assolto, e comunque i soldi non son bastati a risarcire le vittime. Le vittime hanno incassato quindi €90 a testa e magari qualcosa in più dai vari procedimenti, importi che comunque non saranno mai in grado di riparare al danno che loro hanno effettivamente subito. L'unica nota positiva, almeno per quanto riguarda i pazienti e i dipendenti di Vastamo, è che l'attività in sé è stata poi rilevata da un'altra società, Verve, che oltre a tenere tutti i dipendenti di Vastamo si è impegnata anche a prendere in cura i pazienti dove possibile, lasciando che ciascuno proseguisse il percorso con il proprio terapeuta. Bene, come sempre spero che il video di oggi vi sia piaciuto. Fatemi sapere nei commenti se conoscevate già questa vicenda e cosa ne pensate, e soprattutto se anche per voi è uno dei casi più eclatanti di doxxing che si siano mai sentiti. Noi ci rivediamo la prossima settimana. A presto!